Una investigación alerta de fallos de confianza entre agentes conectados mediante MCP

Una investigación publicada el 5 de octubre de 2026 identificó vulnerabilidades en agentes de Google y otras cuatro organizaciones que utilizan Model Context Protocol (MCP) para comunicarse dentro de redes internas. Los fallos permiten que instrucciones maliciosas pasen de un agente comprometido a otros sistemas que confían en él.

El investigador independiente Syed Anas Mohiuddin probó agentes de Google, JP Morgan Chase, Weviate, Rapid7, la dirección interministerial digital del Gobierno francés y el Gobierno federal de Estados Unidos. Sus pruebas mostraron que agentes especializados, como los dedicados a traducción o análisis de datos, pueden reenviar instrucciones sin contar con controles suficientes para detectar una inyección de instrucciones.

En varios casos, las instrucciones provocaron falsificación de solicitudes del lado del servidor (SSRF), una vulnerabilidad que puede hacer que un servidor realice peticiones de red no autorizadas. MCP almacena credenciales para los agentes y, según la investigación, muchos sistemas asumen que los demás agentes internos son confiables.

Rapid7 corrigió el fallo CVE-2026-97228, que tenía una gravedad de 2,7 sobre 10. El problema detectado en Google recibió una valoración de 8 y afectaba a googleapis/mcp-toolbox. Su cliente HTTP no aplicaba una política para controlar redirecciones ni validaba las direcciones IP de destino, lo que podía permitir que un parámetro manipulado redirigiera las peticiones a un servicio interno. Google incorporó listas de direcciones permitidas y bloqueadas, además de validar la URL base al iniciar el sistema.

Mohiuddin denominó «protocol pivoting» a esta clase de ataque, que puede comenzar mediante MCP y continuar a través de Google Agent-to-Agent (A2A) u otros protocolos de comunicación entre agentes. El investigador Markus Vervier, de X41 D-Sec, considera que se trata de una variante de la inyección indirecta de instrucciones.

La investigación señala que la rápida adopción de MCP ha dejado expuestas carencias en la autorización entre agentes. Douglas McKee, de Rapid7, afirmó que las arquitecturas deberían tratar cualquier contenido transmitido desde un modelo de lenguaje a una herramienta como una entrada procedente de un desconocido en Internet.

Fuente: Ars Technica.